CVE-2021-27903

O destaque aqui é "Execução Remota de Código", mas vale ler a descrição duas vezes: ela só se manifesta em sites que deixaram as alterações administrativas sem restrição, e apenas se um atacante já tiver sequestrado a sessão de um administrador. Em outras palavras, trata-se de uma escalada pós-comprometimento, que converte uma posição administrativa já obtida em execução de código no servidor, e não de uma porta de entrada a partir do exterior. O dano, caso se concretize, é real, mas o bilhete de entrada já são as chaves do reino.

Essa barreira pesa enormemente na forma como classificamos o problema. O Craft CMS vem com um padrão de produção reforçado que desabilita alterações administrativas justamente para fechar essa brecha, de modo que um site bem configurado não fica exposto de forma alguma. O caminho realista para o abuso é o sequestro de sessão somado a uma configuração frouxa e a um administrador que de fato seja alvo, o que constitui uma cadeia de pré-condições, e não um cenário de exploração em massa. Ninguém está varrendo a internet em busca disso como faria com uma falha não autenticada, apesar do rótulo 9.8.

Nossa abordagem é tratar a pontuação CVSS como enganosa e classificar pelo estado da configuração. A pergunta que fazemos não é "quais instalações do Craft existem", mas "quais rodam com allowAdminChanges habilitado em produção e estão abaixo da 3.6.7" — essa interseção é o pequeno conjunto que realmente importa. Para tudo que está no padrão reforçado, isso cai bastante na fila, atrás de falhas que não exigem que o atacante já seja dono de uma sessão administrativa.